Cybersäkerhetsakten: Vår Guide för att Uppfylla Lagkraven

Hur förbereder du ditt företag för certifiering?

Förberedelsen börjar med en gap-analys. Enligt ISO (2025) rapporterar 65 procent av organisationer att den största utmaningen med säkerhetscertifiering är att identifiera vilka krav som gäller deras specifika produkt eller tjänst. En strukturerad kartläggning löser det problemet.

Kartlägg vilka produkter och tjänster som kan beröras. Identifiera vilken certifieringsnivå som krävs. Genomför en intern granskning av befintliga säkerhetskontroller och dokumentation. Prioritera de åtgärder som behövs för att nå certifieringskraven.

Steg-för-steg: vägen till certifiering

1. Kartlägg era produkter. Identifiera vilka som faller under certifieringsscheman. IoT-enheter, molntjänster och nätverksutrustning är vanliga kategorier.

2. Bestäm certifieringsnivå. Grundläggande, väsentlig eller hög? Nivån styrs av produktens riskprofil och kundens krav.

3. Genomför gap-analys. Jämför befintliga säkerhetskontroller med certifieringskraven. Identifiera och prioritera brister.

4. Implementera åtgärder. Stäng identifierade luckor. Det kan handla om tekniska kontroller, dokumentation eller processförbättringar.

5. Certifiera. Engagera ett ackrediterat organ för granskning och certifiering. Grundnivån kan ibland klaras genom självdeklaration.

Kopplingen till NIS2

NIS2-direktivet och cybersäkerhetsakten förstärker varandra. NIS2 ställer krav på organisationers cybersäkerhetsförmåga. Cybersäkerhetsakten erbjuder certifiering som kan visa att kraven uppfylls. Företag som lyder under NIS2 bör överväga certifiering som ett verktyg för att demonstrera efterlevnad.

En compliance-rådgivare kan hjälpa er navigera överlappen mellan regelverken och prioritera rätt insatser.

Vilka branscher berörs mest av cybersäkerhetsakten?

Branscher med hög digitaliseringsgrad och kritisk infrastruktur berörs mest direkt. Enligt ENISA Threat Landscape Report (2025) var hälsovård, transport och energi de tre sektorer som utsattes för flest cyberangrepp i EU under 2025, och samtliga berörs av certifieringskraven.

IoT-tillverkare står inför särskilt stora förändringar. Historiskt har säkerhet inte prioriterats i billiga uppkopplade enheter. Cybersäkerhetsakten och CRA ändrar det genom att kräva säkerhet som standard, inte som tillval.

Molntjänster och EUCS

European Cybersecurity Certification Scheme for Cloud Services (EUCS) är under utveckling och förväntas ställa specifika krav på molnleverantörer. Schemats slutliga utformning debatteras fortfarande, men riktningen är tydlig: molntjänster som hanterar europeiska data ska kunna certifieras.

För svenska företag som köper molntjänster innebär det att ni bör kräva certifiering av era leverantörer. Och för svenska molntjänsteföretag innebär det att certifiering kan bli en förutsättning för att behålla kunder.

Industriell IoT och uppkopplad tillverkning

Svensk industri använder alltmer uppkopplade sensorer, styrsystem och robotar. Säkerhetskraven för dessa enheter kommer att skärpas avsevärt genom CRA och cybersäkerhetsakten. Företag som tillverkar eller använder industriell IoT bör börja planera nu.

Vanliga frågor om cybersäkerhetsakten

Är cybersäkerhetscertifiering obligatorisk?

Formellt sett är certifieringen under cybersäkerhetsakten frivillig. Men i praktiken kan den bli obligatorisk genom offentlig upphandling, kundkrav eller kompletterande lagstiftning som CRA. Enligt ENISA (2025) räknar EU-kommissionen med att utvärdera behovet av obligatorisk certifiering för kritiska produktkategorier senast 2027.

Vad kostar det att certifiera en produkt?

Kostnaden varierar kraftigt beroende på certifieringsnivå och produktens komplexitet. Grundläggande nivå kan kosta från 50 000 kronor för en enkel produkt. Väsentlig och hög nivå kräver oberoende granskning och kan kosta 200 000 till över 1 miljon kronor. Räkna också in intern arbetstid för förberedelser.

Hur skiljer sig cybersäkerhetsakten från NIS2?

Cybersäkerhetsakten fokuserar på certifiering av produkter, tjänster och processer. NIS2 ställer krav på organisationers cybersäkerhetsförmåga och incidentrapportering. De kompletterar varandra: NIS2 säger vad organisationer ska uppnå, och cybersäkerhetsakten erbjuder ett verktyg (certifiering) för att visa att kraven uppfylls.

Sammanfattning

EU:s cybersäkerhetsakt skapar ett enhetligt ramverk för cybersäkerhetscertifiering som påverkar svenska företag inom alla sektorer. Tillsammans med NIS2 och Cyber Resilience Act formar den ett heltäckande regelverk som ställer konkreta krav på digital säkerhet.

Börja med att kartlägga vilka produkter och tjänster som berörs. Genomför en gap-analys mot relevanta certifieringsscheman. Investera i de åtgärder som krävs och planera certifieringen i god tid. Företag som agerar proaktivt får en konkurrensfördel, medan de som väntar riskerar att hamna efter.

Regelverken kan verka komplexa, men grundtanken är enkel: säkra produkter och tjänster ska vara normen i Europa, inte undantaget.